关于SQL防注入的问题

[vinjuviva]

我发现网上很多使用Request.QueryString("id")会存在SQL注入问题，哪么如果我不使用Request.QueryString("id")，采用Session是不是就不存在SQL注入的问题？？？？

[wzy_love_sly]

恩 对，其实加一些验证和去除一些特殊字符，一般的注入就能防止了

[bhtfg538]

参数化SQL

SELECT * FROM TABLE WHERE str=N'--;防止注入';

[kke_007]

建义少用Session
服务器内存宝贵的
用存储过程
或用

public void AddOutParameter(DbCommand cmd, string parameterName, DbType dbType, int size)
{
DbParameter dbParameter = cmd.CreateParameter();
dbParameter.DbType = dbType;
dbParameter.ParameterName = parameterName;
dbParameter.Size = size;
dbParameter.Direction = ParameterDirection.Output;
cmd.Parameters.Add(dbParameter);
}
/// <summary>
/// 增加参数列表
/// </summary>
/// <param name="cmd">CMD对象</param>
/// <param name="parameterName">参数名</param>
/// <param name="dbType">参数类型</param>
/// <param name="value">参数值</param>
public void AddInParameter(DbCommand cmd, string parameterName, DbType dbType, object value)
{
DbParameter dbParameter = cmd.CreateParameter();
dbParameter.DbType = dbType;
dbParameter.ParameterName = parameterName;
dbParameter.Value = value;
dbParameter.Direction = ParameterDirection.Input;
cmd.Parameters.Add(dbParameter);
}

public DbParameter AddInParameter2(DbCommand cmd, string parameterName, DbType dbType, object value)
{
DbParameter dbParameter = cmd.CreateParameter();
dbParameter.DbType = dbType;
dbParameter.ParameterName = parameterName;
dbParameter.Value = value;
dbParameter.Direction = ParameterDirection.Input;
return dbParameter;
}




public bool upFileUrl(int id,string imgUrl) {
string sql = "update video_info set image=@imgUrl where id=@id";
DbCommand cmd = DB.GetSqlStringCommond(sql);
DB.AddInParameter(cmd, "@imgUrl", DbType.String,imgUrl);
DB.AddInParameter(cmd, "@id", DbType.Int32,id);
return !this.IsEmpty(DB.ExecuteNonQuery(cmd));
}

[jiang_jiajia10]

存在啊，无所谓你使用什么方式来传参，关键是你 要对前台提交过来的信息进行过滤。如：

string str = this.TextBox1.Text.Trim();
string newstr = str.Replace("'", "''")

[西安风影]

显然不现实么，那得耗费多少session呢。

你只要做好防止sql注入就可以了。
要么检测id必须是数字型，要么过滤掉sql关键字。
If ParaValue="" or not isNumeric(Request.QueryString("id")) Then
Response.Write "参数" & ParaName & "必须为数字型"
Response.End
End If

[sugar520]

[Quote=引用 3 楼 kke_007 的回复:]
建义少用Session
服务器内存宝贵的
用存储过程
或用

public void AddOutParameter(DbCommand cmd, string parameterName, DbType dbType, int size)
{
DbParameter dbParameter = cmd.CreateParameter();
dbParameter.DbType = dbType;
dbParameter.ParameterName = parameterName;
dbParameter.Size = size;
dbParameter.Direction…
[/Quote]

DbCommand cmd = DB.GetSqlStringCommond(sql);
这个可以给详细一点？